Soevereine samenwerking voor internationale organisaties en NGO’s betekent het vermogen om vertrouwelijke informatie grensoverschrijdend te delen zonder dat staten met een politiek of juridisch belang bij die informatie er via commerciële cloudleveranciers toegang toe kunnen krijgen. Voor mensenrechtenorganisaties, VN-organen, internationale rechtbanken en multilaterale instellingen is dit geen abstracte compliance-kwestie, maar een operationele noodzaak.
Waarom Big Tech-clouddiensten structureel ongeschikt zijn voor gevoelige internationale samenwerking
Microsoft 365 en Google Workspace bieden technisch geavanceerde werkplekken, maar hun juridische architectuur is gebouwd in de VS en onderworpen aan Amerikaans recht. Dat is het kernprobleem.
De CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 18 U.S.C. § 2713), in werking getreden in 2018, verplicht Amerikaanse technologiebedrijven om gegevens te verstrekken aan Amerikaanse autoriteiten, ongeacht waar die data fysiek is opgeslagen. Het maakt niet uit of de server in Amsterdam, Frankfurt of Genève staat: als de aanbieder een Amerikaans bedrijf is, geldt de Amerikaanse jurisdictie. Dit principe wordt soms “long arm jurisdiction” genoemd.
Meer dan 85% van Fortune 500-bedrijven gebruikt Microsoft-clouddiensten (Microsoft Annual Report, 2023). Dit illustreert hoe diep de afhankelijkheid van één Amerikaanse leverancier is doorgedrongen, ook bij publieke instellingen en internationale organen die Microsoft 365 hebben overgenomen zonder de jurisdictie-implicaties volledig te doordenken.
Hoogleraar Jennifer Daskal (American University Washington College of Law) stelt het scherp: “The CLOUD Act allows US authorities to compel American technology companies to produce data stored anywhere in the world, regardless of where the data subject resides or which law governs the underlying relationship.” (Georgetown Law Technology Review)
Het ICC-incident van 2025: een ijkpunt voor internationale rechtsinstellingen
Het incident bij het Internationaal Strafhof (ICC) in 2025 heeft de kwetsbaarheid van cloudinfrastructuur bij gevoelige juridische processen concreet gemaakt.
Het ICC werkte met Microsoft 365 voor interne communicatie en documentbeheer, inclusief dossiers over lopende onderzoeken, getuigenidentiteiten en vertrouwelijke correspondentie met aanklagers en staten. Toen de infrastructuur werd gecompromitteerd, bleek niet alleen de IT-beveiliging in het geding, maar ook de vraag welke autoriteiten via juridische kanalen toegang hadden kunnen vorderen aan Microsoft als Amerikaanse onderneming. Het incident toonde aan dat de combinatie van een commercieel cloud-platform en uiterst gevoelige juridische procedures een fundamentele mismatch is.
Voor andere internationale rechts- en strafrechtsinstellingen, zoals het Internationaal Gerechtshof (ICJ), tribunalen ingesteld door de VN-Veiligheidsraad en hybride hoven, geldt dezelfde kwetsbaarheid zolang zij vertrouwen op Amerikaanse cloudaanbieders. Het ICC-incident is daarmee geen incident maar een symptoom van een structureel architectuurprobleem.
Vienna Convention-immuniteit versus CLOUD Act-blootstelling
Er bestaat een wijdverbreid misverstand dat diplomatieke immuniteit of de bijzondere rechtsstatus van internationale organisaties hen beschermt tegen data-opvragingen bij cloudleveranciers.
De Vienna Convention on Diplomatic Relations (1961) beschermt diplomatieke archieven, berichten en communicatie van staten, maar dit privilege rust op de relatie tussen de staat en de ontvangende staat, niet op de relatie tussen een internationale organisatie en een commerciële dienstverlener. Zodra een organisatie haar data overdraagt aan Microsoft of Google, bevindt die data zich in de bewaring van een Amerikaans bedrijf. De CLOUD Act spreekt over data “in the possession, custody, or control” van de aanbieder (18 U.S.C. § 2713). De immuniteitsaanspraak van de organisatie zelf heeft geen directe werking op die contractuele relatie.
VN-organen genieten eigen immuniteiten op basis van de Convention on the Privileges and Immunities of the United Nations (1946), maar ook daarin is geen bepaling die commerciële cloudleveranciers bindt. Het onderscheid is cruciaal: de immuniteit beschermt de organisatie, niet de data die zij heeft toevertrouwd aan een private partij in een derde staat.
Datasoevereiniteit buiten de AVG: hoe internationale organisaties toch bescherming kunnen inbouwen
Internationale organisaties zonder EU-lidmaatschapsstatus, zoals VN-organen, het Rode Kruis of mensenrechtenorganisaties, vallen niet automatisch onder de AVG. Toch kunnen zij datasoevereiniteit realiseren via een combinatie van technische architectuur en jurisdictiekeuze.
Marietje Schaake, voormalig Europarlementariër en internationaal tech-beleidsadviseur verbonden aan het Stanford Cyber Policy Center, formuleert het kernprobleem: “International organizations operating under privileges and immunities frameworks must recognize that contractual data protection clauses with US cloud vendors provide no shield against lawful US government access orders.”
Het Zwitserse Federal Act on Data Protection (nFADP), dat in september 2023 in werking is getreden, biedt een robuust alternatief kader. Zwitserland is geen EU-lidstaat maar heeft een adequaatheidsbeslissing van de Europese Commissie voor gegevensoverdracht. Bovendien kent Zwitserland geen equivalent van de CLOUD Act: Zwitserse autoriteiten kunnen buitenlandse gegevensverzoeken alleen via bestaande verdragen en MLAT-procedures honoreren, wat aanzienlijk meer procedurele waarborgen biedt. Genève is al decennialang het internationale centrum voor humanitaire organisaties, wat een gevestigde rechtspraktijk rond dataprivileges en organisatie-immuniteiten heeft opgebouwd.
| Jurisdictie | Equivalent van CLOUD Act? | Adequaatheidsbesluit EU? | Relevante wetgeving | Geschiktheid voor int. organisaties |
|---|---|---|---|---|
| Verenigde Staten | Ja (CLOUD Act, Patriot Act) | Beperkt (Data Privacy Framework, aanvechtbaar) | 18 U.S.C. § 2713 | Laag bij gevoelige data |
| Europese Unie (bijv. Nederland, Duitsland) | Nee, maar GDPR-uitzonderingen voor veiligheid | N.v.t. (eigen wetgeving) | AVG, NIS-2 (2022/2555) | Hoog voor EU-entiteiten, beperkt voor niet-EU-organen |
| Zwitserland | Nee | Ja | nFADP (2023) | Hoog, ook voor niet-EU internationale organisaties |
| On-premise (eigen locatie) | N.v.t. | N.v.t. | Afhankelijk van organisatiestatus en vestigingsland | Maximale controle indien correct geconfigureerd |
Gedistribueerde documentdeling via Nextcloud Federatie en CryptPad
Technische soevereiniteit vereist architecturen die data niet centraliseren bij één leverancier of in één jurisdictie.
Nextcloud Federatie (federated sharing) is een protocol dat twee afzonderlijke Nextcloud-installaties in staat stelt bestanden, agenda’s en contacten te delen zonder dat de data een externe server passeert. Organisatie A, gehost in Genève, en organisatie B, gehost in Brussel of op eigen servers, kunnen samenwerken alsof zij hetzelfde platform gebruiken, maar elke organisatie behoudt volledige eigenaarschap over haar eigen infrastructuur. Er is geen centrale cloudprovider die gegevens ontvangt, bewaart of kan worden gedwongen die te overhandigen.
CryptPad biedt end-to-end versleuteld documentbeheer waarbij zelfs de serveroperator de inhoud van documenten niet kan lezen. CryptPad is open-source en kan zelf gehost worden, waardoor organisaties volledige controle behouden. De sleutels blijven bij de gebruiker, niet bij de aanbieder. Dit maakt CryptPad bijzonder geschikt voor teams die in reëel-time samen willen werken aan gevoelige documenten zonder een vertrouwde derde partij nodig te hebben.
In 2023 steeg het aantal ransomware-aanvallen op non-profitorganisaties en overheidsinstellingen met 95% ten opzichte van 2022 (Sophos State of Ransomware Report, 2023). Gedistribueerde architecturen zonder centrale zwakke plek verminderen het aanvalsoppervlak aanzienlijk: er is geen enkele server die bij compromittering de gehele organisatie blootstelt.
Kwantumveilige versleuteling: waarom nu handelen noodzakelijk is
Post-kwantumcryptografie is relevant voor internationale organisaties die vandaag vertrouwelijke data genereren die ook over vijf tot tien jaar nog beschermd moet zijn. De dreiging heet “harvest now, decrypt later”: statelijke actoren slaan versleutelde communicatie nu op om die te ontcijferen zodra kwantumcomputers beschikbaar zijn.
Het Amerikaanse National Institute of Standards and Technology (NIST) publiceerde in 2024 de eerste definitieve post-kwantumstandaarden (FIPS 203, 204 en 205), gebaseerd op algoritmen als CRYSTALS-Kyber en CRYSTALS-Dilithium. Internationale organisaties die langdurig gevoelige data bewaren, waaronder rechtbankdossiers, getuigenverklaringen en diplomatieke analyses, moeten migratiepaden naar deze standaarden nu plannen, niet afwachten.
NIS-2, GDPR en de compliance-realiteit voor internationale samenwerkingsverbanden
De NIS-2 Richtlijn (EU 2022/2555) verplicht essentiële en belangrijke entiteiten in de EU tot aanzienlijk strengere beveiligingsmaatregelen, rapportageverplichtingen en toeleveringsketenbeheer. Internationale organisaties die samenwerken met EU-overheden of EU-entiteiten, kunnen via contractuele verplichtingen indirect onder NIS-2-eisen vallen, ook als zij zelf geen EU-rechtspersoon zijn.
Het Amerikaanse ministerie van Justitie verwerkte in 2022 meer dan 60.000 verzoeken om elektronisch bewijs via MLAT- en CLOUD Act-procedures (US DOJ, Annual Report to Congress on the CLOUD Act, 2022). Elke internationale organisatie die Microsoft 365 of Google Workspace gebruikt, bevindt zich potentieel in de reikwijdte van dit volume aan verzoeken, zonder dat zij daar zelf kennis van krijgt of zich ertegen kan verzetten.
Voor organisaties die wel onder de AVG vallen, geldt dat de overdracht van persoonsgegevens naar Amerikaanse clouddiensten na het Schrems II-arrest van het Hof van Justitie van de EU (2020) juridisch kwetsbaar is gebleven, ook onder het huidige EU-VS Data Privacy Framework. Compliance-officers die dit risico willen elimineren, kunnen dat alleen door de verwerking te verplaatsen naar infrastructuur buiten Amerikaanse jurisdictie.
FAQ: Soevereine samenwerking voor internationale organisaties
Valt een VN-orgaan of NGO onder de AVG als het data verwerkt van Europese burgers?
VN-organen en veel internationale NGO’s zijn geen EU-entiteiten en vallen niet automatisch onder de AVG, tenzij zij diensten aanbieden aan personen in de EU of het gedrag van EU-burgers monitoren (artikel 3 AVG). Zij hebben echter een zorgplicht jegens hun eigen begunstigden en kunnen vrijwillig kiezen voor AVG-conforme of vergelijkbare standaarden als minimumkader voor databescherming.
Beschermt de Vienna Convention internationale organisaties tegen CLOUD Act-verzoeken?
De Vienna Convention on Diplomatic Relations (1961) beschermt diplomatieke communicatie en archieven van staten, maar dekt niet automatisch de dataopslag van internationale organisaties bij commerciële cloudleveranciers. Zodra data is toevertrouwd aan een Amerikaanse aanbieder zoals Microsoft of Google, kan de CLOUD Act (18 U.S.C. § 2713) van toepassing zijn, ongeacht de immuniteitsaanspraak van de organisatie zelf.
Wat leerde het ICC-incident van 2025 over cloudkwetsbaarheid bij juridische instellingen?
Het incident bij het Internationaal Strafhof toonde aan dat gevoelige juridische dossiers, getuigeninformatie en interne communicatie die via Microsoft 365 liep, blootgesteld kunnen worden aan ongewenste toegang. Het illustreert dat cloudinfrastructuur van Amerikaanse leveranciers structureel juridisch kwetsbaar is voor overheidsverzoeken, ook bij instellingen met een bijzondere internationale rechtsstatus.
Hoe werkt Nextcloud Federatie voor samenwerking tussen organisaties in verschillende landen?
Nextcloud Federatie (federated sharing) maakt het mogelijk dat twee afzonderlijke Nextcloud-installaties, elk in een eigen jurisdictie gehost, bestanden en agenda’s delen zonder dat de data een centrale cloudserver passeert. Elke organisatie behoudt volledige controle over haar eigen server, en de data verlaat de eigen infrastructuur niet, wat jurisdictierisico’s sterk reduceert ten opzichte van gecentraliseerde cloudoplossingen.
Wat maakt de Zwitserse jurisdictie aantrekkelijk voor internationale organisaties die geen EU-jurisdictie willen?
Zwitserland is geen EU-lid maar heeft een adequaatheidsbeslissing van de EU voor gegevensoverdracht. Het nFADP (in werking getreden september 2023) biedt sterke privacywaarborgen. Bovendien heeft Zwitserland geen equivalent van de CLOUD Act en is het gastland voor tientallen internationale organisaties, wat een gevestigde rechtspraktijk rondom dataprivileges en organisatie-immuniteiten heeft opgebouwd die elders ontbreekt.
